Resolv Attaque de pirate informatique : Comment une fuite de clé a entraîné la frappe illégale de 23 millions de dollars

Écrit par : Chainalysis

Traduit par : AididiaoJP, Foresight News

Le 22 mars 2026, le protocole Resolv DeFi est devenu le dernier exemple illustrant à quelle vitesse le secteur DeFi peut sombrer dans la crise lorsque les hypothèses de sécurité échouent. En quelques minutes seulement, un attaquant a frappé des dizaines de millions de tokens USR, stablecoin de Resolv, sans support de collatéral, et en a extrait environ 25 millions de dollars en valeur, provoquant un décalage brutal du prix de l’USR et forçant la suspension du protocole.

À première vue, cela ressemble à une faille de contrat intelligent. Cependant, ce n’est pas le cas. La façon dont le code concerné fonctionne est totalement conforme à sa conception.

En réalité, il s’agit d’un incident causé par une confiance excessive dans l’infrastructure hors chaîne. À mesure que les systèmes DeFi deviennent plus complexes et dépendent de plus en plus de services externes, de clés privilégiées et d’infrastructures cloud, leur surface d’attaque dépasse largement celle de la blockchain elle-même.

Cet article analysera le déroulement de l’incident et ses impacts, en soulignant que face à une intrusion dans les composants hors chaîne, seul un mécanisme de détection et de réponse en temps réel sur la chaîne peut constituer la dernière ligne de défense cruciale, permettant de faire la distinction essentielle entre un événement contrôlable et une exploitation vulnérable ayant causé des pertes de plusieurs millions de dollars.

Résumé de l’incident

L’attaquant a d’abord déposé une petite somme (environ 100 000 à 200 000 dollars USDC) pour interagir avec le système de mint de USR de Resolv. En temps normal, après dépôt de USDC, l’utilisateur reçoit une quantité équivalente de USR. Mais dans ce cas, l’attaquant a réussi à frapper environ 80 millions de USR, bien au-delà du montant raisonnable correspondant à son dépôt.

Ce phénomène s’est produit parce que la phase d’approbation du mint dépendait d’un service hors chaîne utilisant une clé privée privilégiée pour autoriser la quantité de USR à frapper. Cependant, le contrat intelligent lui-même ne fixait aucune limite sur la quantité à frapper — il ne vérifiait que la validité de la signature.

Après avoir frappé ces USR sans support de collatéral, l’attaquant a rapidement converti ces tokens en version stakée wstUSR, puis a progressivement échangé contre d’autres stablecoins, pour finalement retirer en ETH. Au moment de l’incident, l’attaquant avait réalisé un profit d’environ 25 millions de dollars en ETH. La masse de USR sans support a soudainement inondé le marché, entraînant une chute d’environ 80 % du prix du token.

Après avoir clarifié le résultat de l’incident, l’analyse suivante portera sur la manière dont la faiblesse de la conception du processus de mint a permis cette attaque.

Processus normal de mint des tokens Resolv

Pour comprendre la cause de cette attaque, il faut d’abord connaître la conception du mécanisme de mint de Resolv.

Lorsque l’utilisateur souhaite frapper le token natif USR de Resolv, il ne s’agit pas d’un mécanisme entièrement autonome sur la chaîne, mais d’un processus hors chaîne en deux étapes :

requestSwap — L’utilisateur dépose USDC dans le contrat USR Counter et initie une demande de mint.

completeSwap — Un service hors chaîne contrôlé par une clé privée privilégiée appelée SERVICE_ROLE examine la demande, puis, via un callback vers le contrat, détermine la quantité finale de USR à frapper.

Au niveau du contrat, seule la quantité minimale de USR à produire est spécifiée, sans limite supérieure. La vérification ne porte que sur la validité de la signature. La plateforme ne vérifie pas le ratio entre la quantité de collatéral déposé et la USR frappée, ni n’intègre de mécanismes de prix oracles, de plafonds totaux ou de limites maximales de mint. En d’autres termes, toute quantité signée par cette clé peut être frappée.

Détail des étapes de l’attaque

Étape 1 : Obtenir l’accès à l’environnement AWS KMS de Resolv

L’attaquant a infiltré l’infrastructure cloud de Resolv, obtenant ainsi l’accès à l’environnement AWS KMS utilisé par le protocole, où sont stockées les clés de signature privilégiées. En contrôlant cet environnement, il a pu utiliser la clé de mint propre à Resolv pour autoriser toute opération de frappe qu’il souhaitait.

Étape 2 : Frappes de USR

Après avoir obtenu la clé de signature, l’attaquant a lancé deux requêtes de swap, chacune avec un dépôt USDC relativement faible, totalisant environ 100 000 à 200 000 dollars US, réparties en plusieurs transactions. Ensuite, il a utilisé la clé SERVICE_ROLE pour appeler la fonction completeSwap, en remplissant une quantité de sortie artificiellement gonflée, ce qui lui a permis, avec peu de USDC investi, de frapper des dizaines de millions de USR.

Deux transactions principales ont été identifiées sur la blockchain :

Frappe de 50 millions USR

Frappe de 30 millions USR

Au total, ces transactions ont frappé 80 millions de USR, d’une valeur d’environ 25 millions de dollars.

Étape 3 : Éviter les contraintes de liquidité via wstUSR

L’attaquant a ensuite converti USR en wstUSR. Ce dernier est un token dérivé représentant une part dans une pool de staking, dont la valeur n’est pas fixe par rapport à USR. En transférant ses fonds en wstUSR, il a évité d’impacter directement le marché USR, déplaçant sa position vers un actif moins liquide mais plus facilement remplaçable.

Étape 4 : Cash-out et fuite

En détention de wstUSR, l’attaquant a échangé ces tokens contre des stablecoins, puis contre de l’ETH, et a utilisé plusieurs pools de liquidité décentralisés et ponts cross-chain pour transférer ses fonds, maximisant ainsi le montant retiré tout en compliquant le suivi.

Au moment de la rédaction, l’adresse de l’attaquant détient encore :

environ 11 400 ETH (valeur d’environ 24 millions de dollars)

environ 20 millions de wstUSR (valeur estimée à 130 000 dollars après déconnexion du prix)

Impact sur les détenteurs de USR

Cet incident a causé un choc direct et grave aux détenteurs de USR.

Les 80 millions de USR sans support de collatéral nouvellement frappés ont été progressivement injectés dans les pools de liquidité des échanges décentralisés. Avec cette augmentation soudaine de l’offre, le prix du USR a rapidement chuté de 80 %, tombant à 0,20 dollar, avant de se redresser partiellement à environ 0,56 dollar en quelques heures.

Après l’incident, Resolv Labs a publié une déclaration, suspendant toutes les fonctionnalités du protocole pour éviter d’autres pertes, et a lancé une enquête sur l’intrusion. La nécessité d’agir rapidement pour empêcher une extension des pertes, alors que l’attaquant tentait encore de frapper davantage de USR, souligne l’importance cruciale d’une réponse rapide face à ce type d’attaque.

Une sécurité saine doit reposer sur l’« hypothèse que des vulnérabilités apparaîtront inévitablement »

Malgré toutes les mesures de sécurité classiques mises en œuvre par Resolv, y compris 18 audits de sécurité, cette attaque révèle en quelque sorte une vérité simple : l’attaquant a obtenu la clé, a utilisé cette clé pour frapper illégalement des actifs, puis a converti ces actifs avant que les parties concernées ne s’en aperçoivent.

Mais, plus profondément, cet incident met en lumière comment un protocole DeFi hérite des hypothèses de sécurité et des risques potentiels liés à son infrastructure hors chaîne. La cohérence entre le fonctionnement et la conception des contrats intelligents sur la chaîne est totale, mais la conception globale du système et l’infrastructure hors chaîne compromise n’ont pas atteint les standards de sécurité nécessaires.

Dans un contexte où la majorité des exploits peuvent être réalisés en quelques minutes, et où la perte peut survenir avant toute réaction passive, la surveillance en temps réel et la réponse automatisée ne sont plus de simples options, mais des éléments indispensables pour une sécurité efficace.

Analyse de prévention avec Hexagate

L’incident de Resolv illustre parfaitement l’intérêt d’un mécanisme de surveillance en temps réel sur la chaîne. En utilisant Chainalysis Hexagate, deux méthodes spécifiques de détection auraient pu jouer un rôle crucial :

Première méthode : surveillance des événements de mint anormaux

En configurant Hexagate pour surveiller l’appel de la fonction completeSwap, il aurait été possible d’identifier des écarts importants entre la USR frappée et le collatéral déposé.

Par exemple, un dépôt USDC de 100 000 dollars US autorisant la frappe de 50 millions de USR, un ratio anormal, dépasserait largement la plage d’opérations normales. En définissant une règle d’alerte — par exemple, si le ratio de frappe dépasse 1,5 fois la normale —, il aurait été possible de déclencher une alerte immédiate pour ces deux transactions majeures.

Le système de surveillance personnalisé de Hexagate aurait pu, en détectant ces comportements anormaux, déclencher une réponse automatisée.

Deuxième méthode : utilisation de GateSigner et de la surveillance d’événements clés

L’attaquant doit effectuer successivement requestSwap et completeSwap, chaque étape générant des événements sur la blockchain. La combinaison de GateSigner avec la surveillance des événements du contrat aurait permis de configurer une réponse automatique : en détectant une activité de mint anormale, le système aurait pu suspendre le contrat, empêchant toute entrée de USR sur le marché avant que l’attaque ne puisse s’étendre.